Ghostscript肆意代码执行缝隙安全公告

颁布功夫 2019-01-24

缝隙编号和级别


CVE编号：：：CVE-2019-6116，，，危险级别：：：高危，，， CVSS分值：：：厂商自评：：：7.3，，，官方未评定


影响领域


受影响版本：：：

Ghostscript 9.26及更早版本都受影响


缝隙概述


Ghostscript是一套建基于Adobe、、、PostScript及可移植文档体式（PDF）的页面描述语言等而编译成的免费软件。


Google Project Zero 颁布 Ghostscript缝隙预警，，，远端攻击者可利用缝隙在指标系统执行肆意代码及绕过安全限度。当伪运算符推送子法式时，，，ghostscript可能会泄漏操作数仓库上的敏感运算符。特制的PostScript文件能够使用此缺点来转义-dSAFER�；；；�，，，以便例如能够接见文件系统并执行号令。


缝隙利用


    目前已有EXP: https://bugs.chromium.org/p/project-zero/issues/detail?id=1729&desc=2.


修复建议


软件供给商已提供补丁法式，，，请升级到9.26版本：：：https://www.ghostscript.com/documentation.html。

RedHat修复建议：：：https://access.redhat.com/security/cve/cve-2019-6116。

Ubuntu修复建议：：：https://usn.ubuntu.com/3866-1/。

ImageMagick 用到了Ghostscript 有关法式，，，也受到此缝隙影响，，，后续会跟踪。


参考链接


https://usn.ubuntu.com/3866-1/

https://access.redhat.com/security/cve/cve-2019-6116

https://bugs.chromium.org/p/project-zero/issues/detail?id=1729&desc=2

https://www.ghostscript.com/documentation.html